Millionen von aktuellen und ehemaligen Schülern an öffentlichen Schulen in Kalifornien wurden sensible persönliche Informationen gestohlen, nachdem Angreifer ein System des Educational Testing Service (ETS) kompromittiert hatten. Der Sicherheitsvorstoß betraf Schülerakten, die über mehrere Jahre gesammelt wurden, einschließlich Informationen zu Behinderungen, schulischen Leistungen und familiären Umständen.
Das kalifornische Bildungsministerium gab den Vorfall am 16. Oktober 2026 bekannt. Beamte bestätigten, dass die gestohlenen Informationen Schüler betreffen, die in den vorangegangenen drei Schuljahren eingeschrieben waren, wobei einige Unterlagen ehemalige Schüler bis ins Jahr 2006 zurückreichen. Allein im letzten Schuljahr besuchten etwa 5,7 Millionen Schüler öffentliche Schulen in Kalifornien.
Die Ermittler führten den Einbruch auf eine kompromittierte Zugangsdaten zurück, die zum Zugriff auf ein sicheres Dateiübertragungssystem von ETS verwendet wurde. Die Plattform ermöglichte es dem Testanbieter und den staatlichen Bildungsbehörden, Bewertungsinformationen auszutauschen, aber die gestohlenen Zugangsdaten gewährten einer unbefugten Person Zugriff auf Dateien mit Schülerdaten.
Laut der Behörde kopierte der Angreifer zwischen dem 22. Mai und dem 18. September 2026 mehrfach Informationen. ETS entdeckte am 25. September verdächtige Aktivitäten, was bedeutete, dass der unbefugte Zugriff fast vier Monate andauerte, bevor er entdeckt wurde.
Die kompromittierten Unterlagen können Namen, Wohnadressen, Geburtsdaten, Schulinformationen, Schüleridentifikationsnummern und Ergebnisse der akademischen Bewertung enthalten. Einige Akten enthalten auch demografische Daten, Sprachkenntnisse, Behinderungsklassifikationen, Testanpassungen und die Berechtigung für Bildungsunterstützungsprogramme.
ETS betonte, dass Sozialversicherungsnummern, Finanzkontodaten, Zahlungskarteninformationen, Passwörter sowie Angaben zu Eltern oder Erziehungsberechtigten nicht in den gestohlenen Dateien enthalten sind.
Nach der Entdeckung deaktivierte ETS das kompromittierte Konto und schaltete das betroffene Dateiübertragungssystem ab. Die Organisation baute anschließend eine Ersatzplattform mit stärkeren Sicherheitskontrollen auf und beauftragte externe Cybersicherheitsspezialisten zur Untersuchung des Vorfalls.
Die Unterbrechung beeinträchtigte sich auch auf die normale Verarbeitung der für landesweiten Bewertungen verwendeten Schülereinschreibungsdaten. ETS erklärte, dass es daran arbeite, die Dienste wiederherzustellen und gleichzeitig die Überwachung und Zugangsbeschränkungen zu verstärken.
Obwohl die gestohlenen Daten sensible Informationen enthalten, berichtete ETS, keine Beweise dafür gefunden zu haben, dass die Daten öffentlich veröffentlicht wurden. Die Behörden haben den Angreifer nicht identifiziert oder erklärt, wie die ursprünglichen Zugangsdaten kompromittiert wurden.
Die Benachrichtigungen an betroffene Schüler und Familien begannen am 16. Oktober und werden voraussichtlich bis Anfang November fortgesetzt. ETS bietet zwei Jahre lang kostenlose Identitätsschutzdienste über Experian IdentityWorks an.